AI时代的钓鱼攻击：当「可疑邮件」的措辞无懈可击

多年来，我们教员工靠蹩脚的措辞和奇怪的称呼识别可疑邮件。那个时代结束了。根据欧盟网络安全局ENISA的2025年威胁态势报告，约80%的社会工程攻击已有AI参与：措辞无可挑剔、内容个性化，并越来越多地辅以深度伪造的音频和视频。

这在实践中意味着什么？

• 10起入侵中有6起始于一封邮件，钓鱼仍然是最常见的突破口。
• 攻击邮件如今以完美的语言写成，还会提及贵公司真实的项目和合作伙伴。
• 深度伪造电话（用「老板的声音」提出紧急转账要求）在欧洲也已是切实存在的攻击形式。
• 2023至2025年间，AI生成的恶意软件增长了190%，攻击门槛已大幅降低，如今几乎人人都能发起攻击。

最薄弱的一环依然是人——不是因为人不小心，而是因为攻击的质量突飞猛进。仅靠「识别可疑邮件」已经不够了。

中型企业能做什么？

1. 打好技术地基

正确配置邮件防护的技术层（SPF、DKIM、DMARC），就能在攻击触达任何人之前拦下相当一部分。在此之上是终端防护和多因素认证（2FA），后者能从根本上降低密码泄露的影响。

2. 实战钓鱼演练

不谈理论，只做测量：通过一场逼真的钓鱼演练，弄清组织中有多少比例的人会点击、谁会交出密码。结果以数字呈现且匿名，是改进的绝佳起点。

3. 持续的意识建设计划

安全意识不是一次性培训，而是需要维护的能力。员工培训（密码管理、2FA、社会工程）、管理层培训（决策者责任、事件处置手册、危机沟通）以及信息安全制度，都要定期更新。

4. 演练过的应急预案

万一出事，最初60分钟至关重要：隔离、撤销凭证、保全证据。慌乱中做出的决定（立即删除、重装系统）往往比攻击本身造成更大的损失。

从哪里开始？

Zenit的钓鱼演练与意识建设计划正是按这些步骤构建的，从技术审查（SPF/DKIM/DMARC）到实战演练，再到培训课程。一次测量，就能看清贵组织今天的真实防护水平。